a - 1 0/518101 

17-05-2004 2002P08622W W EP0305806 

t DT12Ree'dPCT/PT0 0 9 DEC 2004 

2 

In herkommlichert DSL-Zugangsnet zen erfolgt die Anbindung des 
DSLAM an nachgeordnete Netzelemente mittels eines ATM- 
Netzwerkes (ATM=Asynchronous Transfer Mode, asynchroner 
Transf ermodus) . 

5 

Nachteilig ist dabei, daft ATM-Netzwerke sowohl beim Aufbau 
als auch im Betrieb teuer und aufwendig sind, da einerseits 
die Komponenten eines ATM-Netzwerkes (z.B. Switches) im Ver- 
gleich zu Komponenten, die andere Ubertragungstechniken un- 
10 tersttitzen, teuer sind und andererseits jede Verbindung eines 
ATM-Netzwerkes gesondert administriert werden muss. 



Urn diesen Nachteil zu umgehen, wird beispielsweise in "DSL: 
The Corporate Connection", T. Jessup, Data Communications 
15 Bd. 27, Nr. 2 (Februar 1998), S. 103-108, McGraw Hill, New 

York, vorgeschlagen, die DSL Zugangsleitungen mit ATM-Netzen, 
Ethernets, Tl-Verbindungen, seriellen Leitungen oder Frame 
Relay zu verbinden. 



20 Erfolgt die teilnehme'rseitige Terminierung der Verbindung ko- 
stengiinstig mittels Ethernet, besteht jedoch die Gefahr, dass 
aufgrund der Selbstkonf igurationsf ahigkeiten der im Zusammen- 
hang mit dem Zugangsmultiplexer DSLAM erf orderlichen Ether- 
net-Bridge ein Angriff auf den DSLAM mit einer groften Anzahl 

25 gefalschter MAC-Adressen (MAC=Media Access Control) die Rou- 
ting-Tabellen des DSLAM zum Oberlauf bringt. Aufierdern sind 
bei ungef iltertem Ethernet-Verkehr beispielsweise unautori- 
sierte Verbindungen zwischen den Datenendgeraten Dl 7 D2, D3 
moglich. 

30 

Es ist daher eine Aufgabe der vorliegenden Erfindung, ein 
Verfahren und einen Zugangsmult iplexer *fur den schnellen 
Zugang zu Datennetzen anzugeben, durch welche Angriff e auf 
einen DSLAM verhindert und unautorisierte Direktverbindungen 
35 zwischen am DSLAM angeschlossenen Datenendgeraten unterbunden 
werden . 



GEAENDERTES BLATT 



17-05-2004 200'2P08622 




EP0305806 



c 

3 

Diese Aufgabe wird durch ein Verfahren fur den schnellen 
Zugang zu Datennetzen ausgehend vom Oberbegriff des Patentan- 
spruchs 1 durch dessen kennzeichnende Merkmale und einen Zu- 
gangsmultiplexer fur den schnellen Zugang zu Datennetzen aus- 
5 gehend vom Oberbegriff des Patentanspruchs 7 durch dessen 
kennzeichnende Merkmale gelost. 

Bevorzugte Ausf uhrungsf ormen sind Gegenstand der abhangigen 
Anspruche . 

10 

Gemafl der vorliegenden Erfindung wird ein Verfahren fur den 
schnellen Zugang zu Datennetzen INT vorgesehen, bei dem Da- 
tenendgerate Dl, D2, D3 von Teilnehmern mittels je eines Mo- 
dems Ml, M2, M3 uber je eine digitale Teilnehmeranschlusslei- 

15 tung DSL1, DSL2, DSL3 mit einem Zugangsmultiplexer DSLAM ver- 
bunden sind, wobei zur Datenubertragung zwischen den Daten- 
endgeraten Dl, D2, D3 und einem dem Zugangsmultiplexer 
(DSLAM) nachgeordneten Zugrif f sserver B-RAS, durch welchen 
die Zugrif fsberechtigung der Datenendgerate Dl, D2, D3 iiber- 

20 pruft und der Zugriff auf das Datennetz (INT) hergestellt 

wird, das Point-to-Point-Protocol over Ethernet PPPoE einge- 
setzt wird, wobei die Anbindung des Zugangsmultiplexers DSLAM 
an den Zugrif f sserver B-RAS und an weitere nachgeordnete Kom- 
ponenten mittels eines Ethernet-Netzwerkes ETH erfolgt. Dabei 

25 weist der Zugangsmultiplexer eine Ethernet-Bridge auf, die 

Filtermittel zum Auswerten der in empfangenen Ethernet-Rahmen 
enthaltenen PPPoE-Header aufweist, wobei: 

- Ethernet-Rahmen an die Ethernet-Bridge (EB) weitergelei- 
tet werden, wenn der PPPoE-Header einer bestehenden, 

30 durch den Zugrif f sserver (B-RAS) bestatigten Verbindung 

zuordenbar ist oder wenn der PPPoE-Header einem Verbin- 
dungsaufbau zuordenbar ist, und 

- alle anderen Ethernet-Rahmen, die einen PPPoE-Header ent- 
halten, verworfen werden, und 

35 - alle Ethernet-Rahmen, die keinen PPPoE-Header enthalten, 
verworfen werden. 
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Mit anderen Worten werden alle Ethernet-Rahmen verworfen, die 
nicht einer bestehenden PPPoE-Verbindung oder einem PPPoE- 
Verbindungsaufbau zuordenbar sind. 

5 Gemaft der vorliegenden Erfindung wird aufterdem ein Zugangs- 
multiplexer DSLAM fur den schnellen Zugang zu Datennetzen INT 
vorgesehen, an den Datenendgerate Dl, D2, D3 von Teilnehmern 
mittels je eines Modems Ml, M2, M3 iiber je eine digitale 
Teilnehmeranschlussleitung DSL1, DSL2, DSL3 angeschlossen 

10 sind, wobei zur Datenubertragung zwischen den Datenendgeraten 
Dl, D2, D3 und einem Zugrif f sserver B-RAS, durch welchen die 
Zugrif f sberechtigung der Datenendgerate Dl, D2, D3 iiberpruft 
und der Zugriff auf das Datennetz (INT) hergestellt wird, das 
Point-to-Point-Protocol over Ethernet PPPoE eingesetzt wird, 

15 wobei der Zugangsmultiplexer DSLAM mit dem Zugrif f sserver (B- 
RAS) und mit weiteren nachgeordneten Komponenten mittels ei- 
nes Ethernet-Netzwerkes (ETH) verbunden ist und wobei der Zu- 
gangsmultiplexer die o.g. Ethnernet-Bridge und Filtermittel 
auf weist . 



Ein wichtiger Vorteil des erf indungsgemaften Verfahrens und 
des erf indungsgemafieri Zugangsmultipiexers DSLAM besteht dar- 
in, dass der Aufbau eines Ethernet-Netzwerkes erheblich ko- 
stengunstiger ist als der Aufbau eines ATM-Netzwerkes, da 

25 Ethernet-Komponenten einfacher und damit kostengunstig her- 
stellbar sind. Wartung und Betrieb eines Ethernet-Netzwerkes 
sind ebenfalls deutlich kostengunstiger , da ein Ethernet- 
Netzwerk selbstkonf igurierend ist und somit die bei ATM- 
Netzwerken erf orderliche Administration des Netzwerkes ent- 

30 fallt. Dabei wird durch die Erfindung verhindert, dafi 

Angriffe auf einen DSLAM z.B. mittels gefalschter MAC-Adres- 
sen ausgefuhrt werden konnen und daI5 unautorisierte 
Direktverbindungen zwischen am DSLAM angeschlossenen 
Datenendgeraten aufgebaut werden konnen. 



20 



35 



GEAENDERTES BLATT 



17-05-2004 20 02 P0 8 622 





EP0305806 



4 



Vorteilhaft bleibt bei Anwendung der Erfindung die herkommli- 
che Anbindung der Datenendgerate der Teilnehmer an den Zu- 
gangsmultiplexer bestehen. 

5 In einer Weiterbildung des erf indungsgemaften Verfahrens und 
des erf indungsgemafien Zugangsmultiplexers wird eine Kombina- 
tion mit einem Verfahren bzw. Mitteln zur Uberlastabwehr vor- 
gesehen - Anspriiche 3 bis 5 und 9 bis 11. Der Vorzug dieser 
Kombination besteht darin, dass starke Impulse bzw. Bursts 

10 von Datenverkehr auf der hochbitratigen Ethernet- 

Schnittstelle, die an nur eine der - im Vergleich zu der 
Ethernet-Schnittstelle niederbitratigen -digitalen Teilneh- 
meranschlusslei tungen weiterzuleiten sind, dort nicht zu ei- 
ner Uberlastsituation fuhren konnen, da erf orderlichenf alls 

15 Ethernet-Rahmen bereits aus dem Empf angspuf f er der Ethernet- 
Schnittstelle verworfen werden. Vorteilhaft werden Ethernet- 
Rahmen, die der Verbindungssteuerung dienen, von der Ver- 
wurf sstrategie ausgenommen . 

20 Im folgenden wird das erf indungsgemafte Verfahren im Zusammen- 
hang mit einer Zeichnung als Ausf uhrungsbeispiel naher erlau- 



Die einzige Figur 1 zeigt schematisch den Netzaufbau fur ei- 
25 nen schnellen Zugang zu einem Datennetz mittels digitaler 
Teilnehmeranschlussleitung . 

Figur 1 zeigt drei Datenendgerate Dl, D2, D3, mittels je ei- 
nes Modems Ml, M2, M3 uber je eine digitale Teilnehmeran- 
30 schlussleitung DSL1, DSL2, DSL3 mit einem Zugangsmultiplexer 



tert . 
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;ntanspruche 

Verfahren fur den schnellen Zugang zu Datennetzen (INT), 
bei dem Datenendgerate (Dl, D2, D3) von Teilnehmern mit- 
tels je eines Modems (Ml, M2, M3) iiber je eine digitale 
Teilnehmeranschlussleitung (DSL1, DSL2, DSL3) mit einem 
Zugangsmultiplexer (DSLAM) verbunden sind, wobei zur Da- 
tenubertragung zwischen den Datenendgeraten (Dl, D2, D3) 
und einem dem Zugangsmultiplexer (DSLAM) nachgeordneten 
Zugrif fsserver (B-RAS), durch welchen die Zugrif f sberech- 
tigung der Datenendgerate (Dl, D2, D3) uberpriift und der 
Zugriff auf das Datennetz (INT) hergestellt wird, das 
Point-to-Point-Protocol over Ethernet PPPoE eingesetzt 
wird, und wobei die Anbindung des Zugangsmultiplexers 
(DSLAM) an den Zugrif fsserver (B-RAS) und an weitere 
nachgeordnete Komponenten mittels eines Ethernet- 
Netzwerkes (ETH) erfolgt, 
dadurch gekennzeichnet, 

dass eine Ethernet-Bridge (EB) dem Zugangsmultiplexer 
(DSLAM) zugeordnet oder in den Zugangsmultiplexer (DSLAM) 
integriert wird, wobei die Ethernet-Bridge (EB) mit Fil- 
termitteln ausgerustet wird, durch welche die in empfan- 
genen Ethernet-Rahmen enthaltenen PPPoE-Header ausgewer- 
tet werden und wobei: 

Ethernet-Rahmen an die Ethernet-Bridge (EB) weitergelei- 
tet werden, wenn der PPPoE-Header einer bestehenden, 
durch den Zugrif fsserver (B-RAS) bestatigten Verbindung 
zuordenbar ist oder wenn der PPPoE-Header einem Verbin- 
dungsaufbau zuordenbar ist und 

alle anderen Ethernet-Rahmen, die einen PPPoE-Header ent- 
halten, verworfen werden, und 

alle Ethernet-Rahmen, die keinen PPPoE-Header enthalten, 
verworfen werden. 

Verfahren nach Anspruch 1, 
dadurch gekennzeichnet, 

dass mit dem Verbindungsau fbau ein Timer gestartet wird, 
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bei dessen Ablauf die MAC-Adresse der sendenden Ethernet- 
Komponente aus den Routing-Tabellen der Ethernet-Bridge 
(EB) entfernt wird, sofern vor Ablauf des Timers keine 
Bestatigung des Verbindungsauf baus durch den Zugriffsser- 
5 ver (B-RAS) erfolgt. 



7. Zugangsmultiplexer (DSLAM) fur den schnellen Zugang zu 

Datennetzen (INT), an den Datenendgerate (Dl, D2, D3) von 

10 Teilnehmern mittels je eines Modems (Ml, M2, M3) liber je 

eine digitale Teilnehmeranschlussleitung (DSL1, DSL2 , 
DSL3) angeschlossen sind, wobei zur Datenubertragung zwi- 
schen den Datenendgeraten (Dl, D2, D3) und einem dem Zu- 
gangsmultiplexer (DSLAM) nachgeordneten Zugrif f sserver 

15 (B-RAS) , durch welchen die Zugrif f sberechtigung der Da- 

tenendgerate (Dl, D2, D3) uberprOft und der Zugriff auf 
das Datennetz (INT) hergestellt wird, das Point-to-Point- 
Protocol over Ethernet PPPoE eingesetzt wird, und wobei 
der Zugangsmultiplexer (DSLAM) mit dem Zugrif f sserver (B- 

20 RAS) und mit weiteren nachgeordneten Komponenten mittels 

eines Ethernet-Netzwerkes (ETH) verbunden ist, 
dadurch gekennzeichnet, 

dass der Zugangsmultiplexer eine Ethernet-Bridge (EB) 
aufweist, wobei die Ethernet-Bridge (EB) Filtermittel zum 
25 Auswerten der in empfangenen Ethernet-Rahmen enthaltenen 

PPPoE-Header aufweist, und wobei: 

- Ethernet-Rahmen an die Ethernet-Bridge (EB) weitergelei- 
tet werden, wenn der PPPoE-Header einer bestehenden, 
durch den Zugrif f sserver (B-RAS) bestatigten Verbindung 

30 zuordenbar ist oder wenn der PPPoE-Header einem Verbin- 

dungsaufbau zuordenbar ist, und 

- alle anderen Ethernet-Rahmen, die einen PPPoE-Header ent- 
halten, verworfen werden, und 

- alle Ethernet-Rahmen, die keinen PPPoE-Header enthalten, 
35 verworfen werden. 
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8. Zugangsmultiplexer (DSLAM) nach Anspruch 7, der zusatz- 
lich einen Timer aufweist, der mit dem Verbindungsaufbau 
gestartet wird, bei dessen Ablauf die MAC-Adresse der 
sendenden Ethernet-Komponente aus den Routing-Tabellen 
5 der Ethernet-Bridge (EB) entfernt wird, sofern vor Ablauf 

des Timers keine Bestatigung des Verbindungsaufbaus durch 
den Zugrif f sserver (B-RAS) erfolgt. 
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In conventional DSL access networks, the DSLAM is linked to 
downstream network elements by means of an ATM network (ATM = 
asynchronous transfer mode) - 

The disadvantage in this situation is the fact that ATM networks are 
expensive and complicated both in their construction and in their 
operation since on the one hand the components of an ATM network 
(switches for example) are expensive in comparison with components 
which support other transfer technologies and on the other hand each 
connection in an ATM network needs to be administered separately. 

In order to avoid this disadvantage, "DSL: The Corporate 
Connection 1 ', T. Jessup, Data Communications Vol. 27, No. 2 (February 
1998), pp. 103-108, McGraw Hill, New York, proposes for example that 
the DSL access lines be connected using ATM networks, Ethernets, Tl 
connections, serial lines or frame relays. 

If the subscriber-side termination of the connection is implemented 
cost-effectively using Ethernet, there is however a danger that as a 
result of the self -configuration capabilities of the Ethernet bridge 
EB required in conjunction with the access multiplexer DSLAM an 
attack on the DSLAM using a large number of falsified MAC addresses 
(MAC = media access control) causes the routing tables of the DSLAM 
to overflow. In addition, in the case of unfiltered Ethernet 
traffic, unauthorized connections between the data terminal devices 
Dl, D2, D3 are possible, for example. 

The object of the present invention is therefore to specify a method 
and an access multiplexer for quick access to -data networks, by 
means of which attacks on a DSLAM are prevented and unauthorized 
direct connections between data terminal devices connected to the 
DSLAM are prevented. 
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This object is achieved by a method for quick access to data 
networks on the basis of the preamble of Claim 1 through its 
characterizing features, and by an access multiplexer for quick 
access to data networks on the basis of the preamble of Claim 7 
5 through its characterizing features. 

Preferred embodiments are set down in the dependent claims. 

According to the present invention, a method for quick access to 

10 data networks INT is provided in which data terminal devices Dl, D2, 
D3 of subscribers are each connected by means of a modem Ml, M2, M3 
respectively by way of a digital subscriber line DSL1, DSL2 , DSL3 
respectively to an access multiplexer DSLAM, whereby for the 
purposes of data transfer between the data terminal devices Dl, D2 , 

15 D3 and an access server B-RAS which is located downstream of the 
access multiplexer (DSLAM) , which serves to check the access 
authorization of the data terminal devices Dl, D2, D3 and establish 
the access to the data network (INT), the Point-to-Point Protocol 
over Ethernet PPPoE is used, according to which the link from the 

20 access multiplexer DSLAM to the access server B-RAS and to further 

components located downstream is implemented by means of an Ethernet 
network ETH. In this situation the access multiplexer has an 
Ethernet bridge (EB) which has filtering facilities for evaluating 
the PPPoE headers contained in received Ethernet frames, whereby: 

25 - Ethernet frames are routed to the Ethernet bridge (EB) if the 

PPPoE header can be assigned to an existing connection confirmed 
by the access server, or if the PPPoE header can be assigned to 
connection which is set up, and 

all other Ethernet frames which contain a PPPoE header are 
30 discarded, and 

all Ethernet frames which do not contain a PPPoE header are 
discarded. 
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In other words, all those Ethernet frames are discarded which can 
not be assigned to an existing PPPoE connection or to a PPPoE 
connection which is set up. 

5 In accordance with the present invention, for quick access to data 
networks INT an access multiplexer DSLAM is additionally provided, 
to which data terminal devices Dl, D2, D3 of subscribers are each 
connected by means of a modem Ml, M2, M3 respectively by way of a 
digital subscriber line DSL1, DSL2 , DSL3 respectively, whereby for 

10 the purposes of data transfer between the data terminal devices Dl, 
D2, D3 and an access server B-RAS, which serves to check the access 
authorization of the data terminal devices Dl, D2 , D3 and establish 
the access to the data network (INT), the Point-to-Point Protocol 
over Ethernet PPPoE is used, whereby the access multiplexer DSLAM is 

15 connected to the access server (B-RAS) and to further components 

located downstream by means of an Ethernet network (ETH) and whereby 
the access multiplexer has the aforementioned Ethernet bridge and 
filtering facilities . 

20 An important advantage of the method according to the invention and 
of the access multiplexer DSLAM according to the invention consists 
in the fact that it is considerably more cost-effective to set up an 
Ethernet network than to set up an ATM network since Ethernet 
components are simpler and thus cheaper to manufacture. Maintenance 

25 and operation of an Ethernet network are likewise significantly more 
cost-effective since an Ethernet network is self -configuring and the 
network administration required in the case of ATM networks is thus 
dispensed with. In this situation, the invention prevents attacks 
from being carried out on a DSLAM, using falsified MAC addresses for 

30 example, and prevents the possibility of unauthorized direct 

connections being set up between data terminal devices connected to 
the DSLAM. 
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Advantageously, when using the invention the conventional link 
between the data terminal devices of the subscribers and the access 
multiplexer is retained. 

5 

In one development of the method according to the invention and of 
the access multiplexer according to the invention, a combination 
with a method and/or with means offering overload protection is 
provided - Claims 3 to 5 and 9 to 11. The advantage of this 

10 combination consists in the fact that strong pulses or bursts of 

data traffic on the high bit rate Ethernet interface, which are to 
be routed to only one of the digital subscriber lines - which are 
low bit rate when compared with the Ethernet interface -, can not 
result in an overload situation there since Ethernet frames are 

15 necessarily already discarded from the receive buffer of the 

Ethernet interface. Ethernet frames which are used for connection 
control are advantageously excluded from the discard strategy. 

The method according to the invention will be described in detail in 
20 the following as an embodiment with reference to a drawing. 

The single Figure 1 shows a schematic view of the network structure 
for quick access to a data network using a digital subscriber line. 

25 Figure 1 shows three data terminal devices Dl, D2 , D3 which are each 
connected by means of a modem Ml, M2 , M3 respectively by way of a 
digital subscriber line DSL1, DSL2 , DSL3 respectively to an access 
multiplexer DSLAM . . 
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Method for quick access to data networks (INT), in which data 
terminal devices (Dl, D2 , D3) of subscribers are each connected 
by means of a modem (Ml, M2 , M3) respectively by way of a digital 
subscriber line (DSL1, DSL2 , DSL3) respectively to an access 
multiplexer (DSLAM) , whereby for the purposes of data transfer 
between the data terminal devices (Dl, D2, D3 ) and an access 
server (B-RAS) which is located downstream of the access 
multiplexer (DSLAM) , which serves to check the access 
authorization of the data terminal devices (Dl, D2, D3 ) and 
establish the access to the data network (INT), the Point-to- 
Point Protocol over Ethernet PPPoE is used, and whereby the link 
from the access multiplexer (DSLAM) to the access server (B-RAS) 
and to further components located downstream is implemented by 
means of an Ethernet network (ETH) 
characterized in that 

an Ethernet bridge (EB) is assigned to the access multiplexer 
(DSLAM) or is integrated into the access multiplexer (DSLAM) , 
whereby the Ethernet bridge (EB) is equipped with filtering 
facilities through which the PPPoE headers contained in received 
Ethernet frames are evaluated and whereby: 

Ethernet frames are routed to the Ethernet bridge (EB) if the 
PPPoE header can be assigned to an existing connection confirmed 
by the access server, or if the PPPoE header can be assigned to 
connection which is set up, and 

all other Ethernet frames which contain a PPPoE header are 
discarded, and 

all Ethernet frames which do not contain a PPPoE header are 
discarded. 

Method according to Claim 1, 
characterized in that 

a timer is started when the connection is set up and when the 
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timer times out the MAC address of the sending Ethernet component 
is removed from the routing tables of the Ethernet bridge (EB) 
provided that no confirmation of the connection set-up is given 
by the access server (B-RAS) before the timer times out. 

Access multiplexer (DSLAM) for quick access to data networks 
(INT), to which data terminal devices (Dl, D2 , D3 ) of subscribers 
are each connected by means of a modem (Ml, M2, M3) respectively 
by way of a digital subscriber line (DSL1, DSL2 , DSL3) 
respectively, whereby for the purposes of data transfer between 
the data terminal devices (Dl, D2, D3 ) and an access server (B- 
RAS) which is located downstream of the access multiplexer 
(DSLAM) , which serves to check the access authorization of the 
data terminal devices (Dl, D2 , D3) and establish the access to 
the data network (INT), the Point-to-Point Protocol over Ethernet 
PPPoE is used, and whereby the access multiplexer (DSLAM) is 
connected to the access server (B-RAS) and to further components 
located downstream by means of an Ethernet network (ETH) , 
characterized in that 

the access multiplexer has an Ethernet bridge (EB) , whereby the 
Ethernet bridge (EB) has filtering facilities for evaluating the 
PPPoE headers contained in received Ethernet frames, and whereby: 
Ethernet frames are routed to the Ethernet bridge (EB) if the 
PPPoE header can be assigned to an existing connection confirmed 
by the access server, or if the PPPoE header can be assigned to 
connection which is set up, and 

all other Ethernet frames which contain a PPPoE header are 
discarded, and 

all Ethernet frames which do not contain a PPPoE header are 
discarded. 
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8. Access multiplexer (DSLAM) according to Claim 7, additionally 

comprising a timer which is started when the connection is set up 
and when the timer times out the MAC address of the sending 
Ethernet component is removed from the routing tables of the 
5 Ethernet bridge (EB) provided that no confirmation of the 

connection set-up is given by the access server (B-RAS) before 
the timer times out. 



10 
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